被怼后的思考：做安全为了什么？

01 数据安全·思考

02 数据安全·泄露

2.1 白

简述： 

        除钓鱼攻击社工外，主要场景还是利用漏洞的方式入侵系统（咳咳：弱口令yyds!），从而获取重要数据。

实施措施：

        安全左移，问题发现越早（在黑客之前发现问题），后期修复代价越小。

成本： 

        较高，但可以根据实际价值在DevSecOps拆分不同阶段的优先级进行实施。

价值： 

        在软件设计之初规避风险，降低漏洞修复成本，减少黑客利用漏洞入侵系统这一场景。（当然完整的DevSecOps建设，在每个阶段都有各自不同的价值！）

        随着开发运营模式的转变，将安全左移，在软件开发生命周期中嵌入安全是一个必然的趋势，于是乎继续下一场修行-DevSecOps！

        随着业务的增长，项目开始逐渐变得庞大，变成团队，出现分工，出现了产品经理、项目经理等等角色，这些角色间自然存在工作目标上的矛盾。

        举个例子，对于运维来说，稳定压倒一切，新的东西越来越少。而对于研发来说，自然希望开发更多的功能。

        就像两匹马拉一辆车，如果马头向着的方向不一致，肯定是没法全速前进的。

        维基百科这样定义，DevOps是一组过程、方法与系统的统称，用于促进开发、技术运营和质量保障（QA）部门之间的沟通、协作与整合。

        随着开发运维模型的变更，DevOps带来的各种优势和技术趋势甚至成为了安全实施的难点，所以早在2012年Gartner就提出了DevSecOps，并通过这么多年的发展，逐渐成熟。

        DevSecOps是Gartner 2012年在一份报告中提出的概念，是应用程序安全(AppSec)领域的一个相对较新的术语。它通过在DevOps活动中扩大开发和操作团队之间的紧密协作，将安全团队也包括进来，从而在软件开发生命周期(SDLC)的早期引入安全。

        DevSecOps意味着安全是每个人的共同责任，每个参与SDLC的人都在将安全性构建到DevOps CI/CD的工作中发挥作用。

        自从现代计算出现以来，安全防护便与软件开发产生了巨大的脱节。在过去五年间，所有已发布的漏洞中有 76% 来自应用。鉴于攻击者的重点产生了这种根本性的转变，到了将安全防护嵌入开发的时候了。为实现这一点，最好的方式是实施安全防护左移策略。

        因此，需要安全人员评估以往需求中的坑点，针对存量问题及新增问题给出解决方案；

        确认Devsec的衡量标准，彼得德鲁克曾经说过一句话：你如果无法度量它，就无法管理它（"It you can’t measure it, you can’t manage it"），因此DevSecOps推进需要良好的度量方式，来用于评估研发团队的成熟度。

        简单来说，威胁建模就是通过结构化的方法，系统地识别、评估产品的安全风险和威胁，并针对这些风险、威胁制定消减措施的一个过程。

        例如，我们可以根据公司场景漏洞结合业务场景及功能模块输出相对应的威胁建模并对相关业务研发人员进行培训、考核，让研发或产品经理在应用设计之初就可以考虑到当前功能、当前场景可能存在哪些风险从而尽早的去规避风险。

        DevSecOps最终还是要让安全服务自动化/自助化，因此针对工具、流程等相关安全培训是必不可少的。

         Confluence Wiki、知识库管理、安全培训、安全编码规范、安全测试规范、隐私合规规范、供应商评估、业务需求评审、轻量级威胁建模、安全需求等等一大堆。

        各类安全漏洞扫描、开源组件版本检查甚至是代码质量代码风格等的工具可以让研发人员在编码时就发现和消除一些潜在的安全风险。在开发环节实时对代码安全性进行监控，发现问题及时整改。

    Findbugs下载地址：

    https://find-sec-bugs.github.io/

        随着云和虚拟技术发展，Docker容器的使用越来越流行和方便。有很多企业已经把基础架构由传统实体机转移到了虚拟机化架构，基于公有云、私有云以及容器云构建在线服务。

引用：

07，公众号：老年人的杂货铺Docker容器安全扫描-Grype

    使用"存在已知漏洞的组件"一直是OWASP TOP 10 的漏洞之一。

    Fastjson、Shrio 、Log4j2等企业常用开源组件出现新漏洞的事件时有发生，为了快速发现并定位问题，我们非常有必要在项目上线前做好三方依赖的检测工作。

引用：

07，公众号：老年人的杂货铺Service Component Architecture（SCA）漏洞检测-Dependency-Check

        静态应用程序安全测试（StaticApplication Security Testing），是指针对源代码进行静态分析从中找到安全漏洞的测试方式，有些工具也会依赖于编译过程甚至是二进制文件，通过一些抽象语法树、控制流分析及污点追踪等技术手段来提升检测覆盖度和准确度。

        Sonarqube下载地址：

        https://www.sonarqube.org/downloads/

        其他工具：CodeQL、ShiftLeft inspect

         动态应用程序安全测试（DynamicApplication Security Testing），是指在测试或运行阶段分析应用程序的动态运行状态。在不需要系统源码的情况下，通过模拟黑客行为构造特定的输入给到应用程序，分析应用程序的行为和反应，从而确定该应用是否存在某些类型的安全漏洞。

        工具列表：Goby/Xray/Awvs/Nessus

        IAST（InteractiveApplication Security Testing,交互式应用安全测试），是指在程序运行时，通过与应用交互的方式，收集程序中运行信息进行安全测试的手段。

IAST 大致分为三类：

        1、代理模式

        2、active插桩

        3、passive插桩

具体概念就不详细说了，大家可以自行了解，实现原理见下文。

引用：

07，公众号：老年人的杂货铺初识 Java Agent - 实现简单AOP操作

        混沌工程，是一种提高技术架构弹性能力的复杂技术手段。混沌工程旨在将故障扼杀在襁褓之中，也就是在故障造成中断之前将它们识别出来。通过主动制造故障，测试系统在各种压力下的行为，识别并修复故障问题，避免造成严重后果。

    相关文章：              

        https://zhuanlan.zhihu.com/p/90294032

    工具地址：

        https://github.com/Netflix/chaosmonkey

        模糊测试（Fuzzing），是一种通过向目标系统提供非预期的输入并监视异常结果来发现软件漏洞的方法。

        相关文章：

        https://blog.csdn.net/whatday/article/details/85245441

        随着互联网的发展越来越多的APP出现，随之而来的就是用户比较头疼的信息泄露&个人隐私问题。

        由于在个人信息处理、共享、转让、公开披露过程中，管理流程和技术手段不规范造成个人信息泄露的安全事件层出不穷，因此隐私合规问题也是需要企业关注的一个重点问题。

引用：

07，公众号：老年人的杂货铺App隐私合规浅谈

         安全加固服务是指是根据专业安全评估结果，制定相应的系统加固方案，针对不同目标系统，通过打补丁、修改安全配置、增加安全机制等方法，合理进行安全性加强。其主要目的是：

    - 消除与降低安全隐患

    - 周期性的评估和加固工作相结合，尽可能避免安全风险的发生

安全加固所涉及的内容比较多，如：

        PC端，Windows、linux操作系统的加固（基线检查）、应用等；

        移动端，Android安全加固（加壳、SDK加固、DEX文件防篡改）等、IOS高级混淆（源码加密）等；

引用：

07，公众号：老年人的杂货铺记一次 Android App 脱壳

         软件签名，目的是确保App的安装包来自于原创的作者，且App没有被篡改，具体原理、工具可以参考下面这些资料（不是做App的怕误人子弟）：

    相关资料：

        https://www.wosign.com/News/news_2018120601.htm

        https://www.iteye.com/blog/xlover-1111560

    相关工具：

        https://developer.android.google.cn/studio/command-line/apksigner

         签名验证，从名字上可以看出重点在于验证，相关资料见上文软件签名部分。

         SIV是system integrity verifiers的缩写，即系统完整性检测，主要用于监视系统文件或者Windows 注册表等重要信息是否被修改，以堵上攻击者日后来访的后门。SIV更多的是以工具软件的形式出现，比如“Tripwire”，它可以检测到重要系统组件的变换情况，但并不产生实时的报警信息。

        相关资料：

        https://www.e-learn.cn/topic/3996714

         纵深防御，英文为Defence-in-Depth，简称DiD，原本是军事领域术语，在战争学概念中，指防御地区或防御部署的纵向深度，分为战役纵深防御和战术纵深防御。在网络安全领域，理解为设置多层重叠的安全防护系统而构成多道防线，使得即使某一防线失效也能被其他防线弥补或纠正，即通过增加系统的防御屏障或将各层之间的漏洞错开的方式防范差错发生的。

        字面意思还是比较容易理解的，但实际落地是需要大量人力、财力、物力，还是要在成本&收益中寻求平衡点。

         UEBA 是用户和实体行为分析技术(user and entity behavior analytics )，UEBA更多的是关注人异常行为，行为主体通常是企业内部的员工。UEBA技术基于海量数据对内部用户的异常行为或内部威胁进行预测，直接以“人”的视角给出判定，抓住“坏人”、主动出击，在数据泄漏之前进行阻止，并为安全分析人员提供可靠的依据。我们可以通俗的理解为，UEBA是通过技术手段侦察到，“谁”在什么时间内做了什么“坏事”，或者“谁”即将准备“做坏事”。

        其实UEBA要解决的问题与本文中数据泄露三个场景中的“灰”相似,传统的安全防护大多是基于漏洞ip外部异常行为去进行研判、响应、处置；但我认为最重要最难解决的安全问题还是在“人”也就是合法用户这一层，思考下：“如果你传统安全做的很好，没有漏洞，但是竟对公司冒充员工入职你公司拿数据是不是成本最低，最高效？而且拿到的数据还都是格式化处理好的。”

        相关资料:

            https://zhuanlan.zhihu.com/p/302940770

            https://baijiahao.baidu.com/s?id=1674179150246290338&wfr=spider&for=pc

            https://baijiahao.baidu.com/s?id=1686219391295853104&wfr=spider&for=pc

引用：Github监控平台搭建及使用

老年人，公众号：老年人的杂货铺Github监控平台-Hawkeye

引用：Falco终端监控搭建及使用

老年人，公众号：老年人的杂货铺​探索Falco：云原生运行时安全检测

         安全应急响应中心(Security Response Center)，要看怎么去玩，玩好的话会有出乎意料的惊喜！总之很重要，这里就不做过多解释。

         除测试阶段外也需要在上线后进行安全扫描，相关工具：Goby/Xray/Awvs/Nessus

        众所周知，信息收集对于渗透测试前期来说是非常重要的，攻击者掌握了目标网站或目标主机足够多的信息之后，攻击者才能更好地对其进行漏洞检测。

        作为防守方，我们自然比攻击者了解的信息多得多。因此，我们需要构建内部的资产管理系统，实时检测暴露在外网的资产并对其进行风险评估。

        不管是攻击还是防守，暴露面检测是重中之重的一项工作。

        几乎各个安全厂商都有基于流量检测的安全产品，不多说了。

        开源项目：https://suricata.io/

         网络安全，讲一百遍不如打一遍！

引用：

07，公众号：老年人的杂货铺应急响应浅谈

         比较常见，在Rasp部分简单介绍。

引用：

07，公众号：老年人的杂货铺了解Rasp - RASP VS WAF & 简单分析

         威胁情报，不管是内部安全产品联动还是后期自动化响应都可以提供很大帮助，HW期间也可以通过多家攻击源聚合分析，找出攻击队等等。

        行业内有很多平台提供了威胁情报接口，可以自行了解。

        根据Gartner对威胁情报的定义，威胁情报是某种基于证据的知识，包括上下文、机制、标示、含义和能够执行的建议，这些知识与资产所面临已有的或酝酿中的威胁或危害相关，可用于资产相关主体对威胁或危害的响应或处理决策提供信息支持。业内大多数所说的威胁情报可以认为是狭义的威胁情报，其主要内容为用于识别和检测威胁的失陷标识，如文件HASH，IP，域名，程序运行路径，注册表项等，以及相关的归属标签。

        参考地址：  

         https://baike.baidu.com/item/%E5%A8%81%E8%83%81%E6%83%85%E6%8A%A5/23311172?fr=aladdin

         漏洞预警也是安全建设中很重要的一环，可以让我们在第一时间接收漏洞信息并结合公司场景进行排查或提前做防御措施。

        除了方便安全人员外，实时、准确的漏洞预警也可让领导或其他部门人员感到安心。

        实现思路，可以去各大平台进行数据爬取或采用接口对接的方式拉取漏洞信息。（GitHub有很多不错的项目）

        规范、方案、规则策略等，不断适配、调整、优化。

        靶场，强化团队攻防能力，优化相关防御策略。

        自动化编排，等等...

简述： 

        除员工意识薄弱、黑客利用漏洞入侵导致数据泄露外，还可能存在：内鬼窃取、员工跳槽、爬虫等导致数据泄露；也就是我所说的灰，区别于黑白之间，它很难识别，因此我理解也是成本最高、最难落地的一部分。

实施措施：

        在数据生命周期加入安全防护措施，如采集、传输、存储、处理、交换、销毁等各阶段。

成本： 

        较高，数据安全不是一个人、一个部门就可以做成或完全落地的，需要各个部门或整个公司配合来完成，因此成本是最高的。

价值： 

        不管是监管合规层面还是对个人、组织数据保护层面，都是重中之重。（合规价值、业务价值）

        数据防泄漏、防篡改、防丢失，我们最终都是朝着"进不来、看不懂、改不了、拿不走、跑不掉"这个方向去努力，实现让数据使用更安全。

        那应该怎么做呢？- 于是围绕数据安全开始了我的下一场修行。

        近年来，全球发达经济体包括美国、欧盟、英国等纷纷把数据竞争力上升为国家战略高度。

        我国也先后出台《网络安全法》、《数据安全管理办法》、《数据安全法》、《个人信息保护法》、《APP违法违规收集使用个人信息行为认定方法》、《关键信息基础设施安全保护条例》等法律法规，并明确组织在数据安全方面的合规要求。

引用：

07，公众号：老年人的杂货铺App隐私合规浅谈

         2020年4月，发布的《关于构建更加完善的要素市场化配置体制机制的意见》，中央首次明确数据成为继土地、劳动力、资本和技术之外的第五大生产要素。

        数据作为数字经济时代最核心、最具有价值的生产要素，正在加速成为全球经济增长的新动力、新引擎，深刻地改变人类社会的生产和生活方式。

        5G联接、人工智能、云计算、区块链、产业互联网、泛在感知等ICT新技术、新模式、新应用无一不是以海量数据为基础，同时又激发数据量呈爆发式增长态势。随着数据量呈指数级增长，数据分析算法和技术迭代更新，数据创新应用和产业优化升级，数据对社会变革的影响更加深远。

        因此，数据安全问题，也已成为企业资产安全性、个人隐私安全性、国家和社会安全的核心问题。

        不管是网络安全治理还是数据安全治理，我们首先要做到的就是“摸清家底”，要明确我们需要治理那些资产。如同ISO27001安全管理体系一样，第一步是梳理资产。

        因此，掌握其中敏感资产的分布、数量、权限及使用情况便成了数据安全治理中的首要任务。

    梳理方法：

        1）静态梳理（访谈、人工主动扫描探测或登录系统梳理）

        2）动态梳理（基于特征库被动扫描，如对敏感信息进行采样，再通过流量监听方式匹配识别敏感数据）

         数据分类分级是数据安全能力建设中的一个关键部分，是建立统一、准确、完善的数据架构的基础，是实现集中化、专业化、标准化数据管理的基础。

        因此，在资产梳理过程中，我们需要结合企业和组织的自身业务特点，依据数据的用途、内容、业务领域对数据资产进行分类（我司是根据用户数据、业务数据、企业数据三部分做的分类）。

        分类完毕后根据数据的价值、敏感程度，被泄露后的影响和后果等因素进行分级。

        注：分类分级完毕后，应输出对应的依据标准，以便后续审批内部公示等。

         我们的目的是让数据使用更安全，让坏人"进不来、看不懂、改不了、拿不走、跑不掉"。那么，下一步我们需要以数据分类分级为基础，在不同的场景制定不同的安全要求。

        其实可以参考下边这张图：

         根据不同级别的数据，在数据生命周期的各阶段设置不同策略，以实现我们的目的，在这里我就不多说了，网上有很多关于各个阶段的实施指南。

        可参考国标文档：

            《GB/T 37973-2019 信息安全技术 大数据安全管理指南》

            《GB/T 37988-2019 信息安全技术 数据安全能力成熟模型》

        不知不觉已经写了这么多字，现在回头看看很感谢当时大哥几句话“怼”醒了我，让我能沉下专心去思考。

        三人行必有我师，很庆幸，在迷茫时身边有一群“明灯”，为弟弟指点迷津带我走出“混沌”。

        嗯，矫情的话不说了 ，回归正题。

        当然除了以上的思考之外，接下来还有很多东西值得学习与思考：

            如何更好的融入业务？

            业务快速迭代的情况下如何提高效率？

            每秒百万级、千万级日志量的情况下如何优化？

            被DDOS了怎么办？

            真要被攻击了怎么办？

            信息真泄露了怎么办？

            公司安全预算比较少怎么办？

            安全团队人数不多的情况下怎么办？

        等等一系列问题都需要继续学习，跟朋友聊天说做安全真难。难在哪里？

        要比研发更懂研发，比运维更懂运维，比业务更懂业务，比法务更懂安全相关法律法规...是的，只有这样才能真正去解决或提出可落地最优的解决方案去服务于业务、服务于公司。

        以上，是我这段时间一些不成熟的思考和实践，如有不妥的地方欢迎各位随时指出。

        最后，祝大家虎年快乐，在新的一年里：逢虎年，走虎运，发虎财，虎气冲天嗷嗷叫，生活幸福哈哈笑！

--------分割线--------

俗话说，“前人栽树后人乘凉”。

很感谢圈内前辈们铺的路，这篇文章中参考了太多大佬写的东西。